GitLabは、機密データの漏えい、CI/CDパイプラインの改ざん、およびサービス拒否(DoS)攻撃につながる可能性のある13件の脆弱性に対処する重要なセキュリティアップデートを、同社プラットフォーム全体を対象にリリースしました。
今回の修正は2026年7月29日に、Community Edition(CE)とEnterprise Edition(EE)の両方向けにバージョン19.2.1、19.1.3、19.0.5として展開されており、同社はすべての自己管理型デプロイメントに対して即時のアップグレードを強く呼びかけています。
今回のパッチサイクルには複数の深刻度の高い脆弱性が含まれており、中でも注目すべきはCVSSスコア8.5を記録したGitLab Workhorseの機密情報漏えいの問題、CVE-2026-6267です。
この脆弱性は、内部リクエスト処理におけるアクセス制御の適用が不十分であることに起因しており、Developerレベルのアクセス権を持つ認証済みユーザーが、本来許可されていないデータを取得できてしまう恐れがあります。
もう一つの重大な問題であるCVE-2026-12436(CVSS 8.4)は、Pipeline Schedule APIにおけるマスアサインメントの脆弱性で、攻撃者が他のユーザーが所有するCI/CD設定を改ざんできる可能性があります。
GitLabはまた、CVE-2026-15975(CVSS 7.5)として追跡されている深刻度の高いサービス拒否(DoS)の脆弱性にも対処しました。この脆弱性は、未認証の攻撃者によって悪用される可能性があります。
この脆弱性は、マージリクエストのディスカッション機能におけるリソース制限の不備に起因しており、攻撃者がGitLabインスタンスに過負荷をかけ、可用性を損なわせる恐れがあります。
これらの脆弱性を総合すると、GitLab環境ではデータの機密性、完全性、可用性の全般にわたって構造的なリスクが存在していることが浮き彫りになります。さらに、中程度の深刻度を持つ複数の脆弱性が、特にアクセス制御や認可ロジックに関わる領域で攻撃対象領域を拡大させています。
例えば、CVE-2026-13113は、マージリクエストの承認ルールに競合状態(レースコンディション)を引き起こし、GitLab EEにおいて保護対象ブランチへの不正なコードマージを許してしまう可能性があります。
同様に、CVE-2026-16553は、仮想レジストリにおける認証情報処理の脆弱性を露呈させ、意図しない外部ホストへ機密データが流出する恐れがあります。認可バイパスや不適切なアクセス制御の問題も、複数のコンポーネントにわたって多数確認されています。
CVE-2026-6336やCVE-2026-14341といった脆弱性は、プロジェクトのインポート機能に影響を及ぼし、権限を持たないユーザーが機密性の高いプロジェクトのメタデータにアクセスしたり、保護対象ブランチの設定を変更したりすることを許してしまいます。
また、CVE-2026-4672というもう一つの脆弱性は、限られた権限しか持たないユーザーが、アクセス制限のかかったパイプラインのテストレポートにアクセスできてしまう可能性があります。
クライアント側のリスクも例外ではなく、CVE-2026-3093は、ページ分割されたビューにおけるクロスサイトスクリプティング(XSS)の脆弱性を明らかにしており、細工されたURLを通じて任意のJavaScriptが実行される可能性があります。
さらにGitLabは、AI関連の新たな脅威にも対処しました。これには、Duo Code Reviewにおけるプロンプトインジェクションの脆弱性(CVE-2026-15077)が含まれており、プロジェクトをまたいでデータが漏えいする可能性があります。また、Duo Workflowsにおける認可の脆弱性(CVE-2026-15831)は、トークン生成とポリシー適用に影響を及ぼします。
これに加えて、データ漏えいに関する別の問題であるCVE-2026-14351は、未認証のユーザーが、公開アクセス可能なマージリクエストを通じて機密扱いのイシュータイトルを推測できてしまう可能性があり、認可の境界における脆弱性を浮き彫りにしています。
深刻度がより低い脆弱性であるCVE-2025-14562も、マージリクエストの共同作業設定における不適切な認可の問題に対処するもので、これにより過去の協力者が意図せずアクセス権を保持し続けてしまう可能性がありました。
セキュリティ修正に加えて、今回のリリースにはPostgreSQL関連の依存関係の更新、キャッシュ処理、CI/CDの信頼性向上など、多数のバグ修正とバックエンドの改善も含まれています。
GitLabが確認したところによると、同社は既にパッチ適用済みのバージョンを稼働させており、GitLab Dedicatedの顧客については対応の必要はないとのことです。同社は、すべてのデプロイメント形態が影響を受けるため、自己管理型を利用するすべてのユーザーに対して直ちにアップグレードするよう強調しています。
なお、今回のアップデートにはデータベースマイグレーションが含まれており、シングルノード構成のデプロイメントではダウンタイムが発生する可能性がある点に注意が必要です。一方、マルチノード環境では、ダウンタイムなしのアップグレード手順を利用できます。
CI/CDパイプライン、アクセス制御、AI支援機能にまたがる広範な脆弱性を踏まえると、パッチ適用の遅れは組織にとって業務運用およびデータセキュリティの両面で重大な脅威となりかねません。
SOC調査の死角を減らし、脅威を早期に封じ込めることで、ANY.RUNを活用して対応コストと業務への支障を軽減しましょう。
翻訳元: https://cyberpress.org/gitlab-patches-13-security-flaws/
